Czego dowiesz się z tego artykułu?
- Co w praktyce oznacza wysokie ryzyko AI Act dla polskiej placówki medycznej.
- Jak odróżnić chatbot administracyjny od systemu wpływającego na decyzję kliniczną.
- O co zapytać dostawcę, zanim narzędzie dotknie danych pacjenta albo triage.
- Jak ustawić human-in-the-loop i dokumentację użycia bez paraliżowania małego pilotażu.
AI Act wraca dziś do rozmów w placówkach, bo Komisja Europejska doprecyzowuje klasyfikację systemów wysokiego ryzyka, a polskie komunikaty mówią o przesunięciach i porządkowaniu części obowiązków. Dla managera przychodni ważne jest jedno: nie każdy system AI w medycynie trafia automatycznie na najwyższą półkę, ale niektórych nie wolno traktować jak zwykłego dodatku do recepcji.
Ja bym zaczął od procesu, nie od nazwy produktu. Chatbot odpowiadający na godziny pracy to inna rozmowa niż system, który ocenia objawy, priorytetyzuje kontakt, podpowiada interpretację wyniku albo wpływa na decyzję lekarza. W pierwszym przypadku rozmawiamy głównie o danych, procedurze i jakości obsługi. W drugim dochodzi pytanie o AI Act, wyrób medyczny, dokumentację dostawcy i realny nadzór człowieka.
W polskiej placówce prywatnej problem nie polega na tym, żeby znać wszystkie artykuły rozporządzenia. Problem polega na tym, żeby przed pilotażem umieć zadać dobre pytania: co robi system, jakie dane widzi, czy wynik może wpłynąć na zdrowie pacjenta i kto zatwierdza decyzję przed skutkiem klinicznym.
Najważniejsze
- Wysokie ryzyko zależy od zastosowania systemu, a nie od marketingowego napisu AI. Ten sam interfejs może być prostą obsługą recepcji albo wejść w obszar decyzji klinicznej.
- Administracja to zwykle niższe ryzyko, ale nie brak ryzyka. Dane pacjenta, logi, retencja i dostawca nadal wymagają kontroli.
- Triage, priorytet pilności, analiza obrazu i wsparcie decyzji lekarza wymagają ostrzejszej weryfikacji. Tu człowiek musi mieć realne prawo zatrzymania wyniku.
- Dostawca powinien umieć pokazać klasyfikację, przeznaczenie, ograniczenia użycia i dokumentację nadzoru. Jeśli nie umie, placówka przejmuje ryzyko po cichu.
- Pierwszy krok to karta procesu. Bez niej rozmowa o AI Act zamieni się w prawniczy stres albo sprzedażowe demo.
Co się zmienia w tle regulacyjnym
Komisja Europejska opublikowała w 2026 r. wytyczne i konsultacje dotyczące klasyfikacji systemów AI wysokiego ryzyka. To ważne dla placówek medycznych, bo klasyfikacja ma pomagać rozstrzygać, czy system jest tylko narzędziem pomocniczym, czy może zagrozić zdrowiu, bezpieczeństwu albo prawom podstawowym. W praktyce manager dostaje sygnał: nie oceniaj narzędzia po slajdzie, tylko po skutku procesu.
Polski kontekst jest równie ważny. Ministerstwo Cyfryzacji informowało o przesunięciu najważniejszych obowiązków dla systemów wysokiego ryzyka i o utrzymaniu gwarancji bezpieczeństwa. To nie jest zaproszenie do czekania z porządkiem danych. Przesunięty termin nie znosi odpowiedzialności placówki za RODO, bezpieczeństwo pacjenta, wybór dostawcy i dokumentowanie decyzji.
UODO z kolei bardzo praktycznie wskazuje, że problemem nie jest sama AI, tylko utrata kontroli nad celem, zakresem i odpowiedzialnością za dane. W ochronie zdrowia to zdanie warto powiesić nad każdym pilotażem. Jeżeli nie wiadomo, po co system widzi dane medyczne i kto odpowiada za wynik, projekt jest za wcześnie, nawet jeśli narzędzie wygląda gotowo.
Trzy półki ryzyka dla managera placówki
Najprostsze rozróżnienie, którego użyłbym na spotkaniu z dostawcą, ma trzy półki. Pierwsza to administracja bez wpływu klinicznego. Druga to procesy z danymi pacjenta, ale bez samodzielnej decyzji medycznej. Trzecia to systemy, które mogą wpływać na triage, priorytet, interpretację albo rekomendację kliniczną. Dopiero ta trzecia półka wymaga naprawdę twardej rozmowy o wysokim ryzyku, ale druga też wymaga dyscypliny danych.
| Proces w placówce | Półka ryzyka | Co sprawdzić | Kto zatwierdza |
|---|---|---|---|
| Bot do godzin pracy, adresu i cennika | Administracyjna | Aktualność bazy wiedzy, brak danych pacjenta, log zmian | Manager recepcji |
| Przypomnienia SMS i zmiana terminu | Administracyjna z danymi | Zakres danych, umowa z dostawcą, retencja, ślad zgody | Recepcja + IOD |
| Formularz przed wizytą z informacjami zdrowotnymi | Dane medyczne | Minimalizacja, bezpieczny kanał, upoważnienia, logi | Manager + IOD |
| Triage objawów lub priorytet pilności | Potencjalnie wysokie ryzyko | Czy wynik wpływa na dostęp do świadczenia lub bezpieczeństwo pacjenta | Lekarz lub uprawniony personel |
| Analiza obrazu, wyniku badania lub rekomendacja kliniczna | Wysoka ostrożność regulacyjna | Status wyrobu medycznego, AI Act, walidacja, nadzór zmian modelu | Lekarz + kierownik medyczny |
To ma sens, gdy placówka rozdziela administrację, dane pacjenta i decyzje kliniczne przed wyborem narzędzia. To nie ma sensu, gdy dostawca pokazuje jeden system do wszystkiego, a zespół nie umie powiedzieć, gdzie AI ma się zatrzymać i kto zatwierdza wynik.
Gdzie człowiek musi przerwać automatyzację
Human-in-the-loop w AI Act i w medycynie nie oznacza symbolicznego kliknięcia po fakcie. Człowiek musi mieć kontekst, kompetencje i realną możliwość zatrzymania procesu przed skutkiem dla pacjenta. Jeżeli system najpierw klasyfikuje pacjenta jako mniej pilnego, a personel widzi to dopiero w raporcie, to nie jest nadzór. To jest późne odkrycie ryzyka.
W praktyce ustawiłbym trzy stopery. Pierwszy: system przetwarza dane o zdrowiu, wynik badania, opis objawów albo dokument medyczny. Drugi: wynik AI może zmienić kolejność kontaktu, termin, ścieżkę pacjenta lub treść komunikatu klinicznego. Trzeci: dostawca nie potrafi pokazać klasyfikacji systemu, przeznaczenia, ograniczeń i sposobu monitorowania błędów. Każdy z tych stoperów powinien uruchamiać człowieka, a nie tylko kolejną regułę w panelu.
Ten tekst uzupełnia szerszy poradnik o tym, kiedy AI może być wyrobem medycznym. Tutaj nie rozstrzygamy certyfikacji za dostawcę. Chodzi o to, żeby manager nie kupował narzędzia klinicznego jak zwykłego modułu recepcji i nie odkładał rozmowy z IOD na dzień przed startem.
Pytania do dostawcy przed umową
Przed pierwszym testem poprosiłbym dostawcę o krótką odpowiedź na piśmie. Nie prezentację sprzedażową, tylko kartę ryzyka: do czego system jest przeznaczony, czy wpływa na decyzję kliniczną, jakie dane przetwarza, gdzie są logi i kto odpowiada za zmiany modelu. Jeśli dostawca używa słowa high-risk albo mówi, że temat go nie dotyczy, powinien umieć to uzasadnić.
Pytania, które zadałbym w pierwszej kolejności:
- Jaki jest deklarowany cel systemu? Administracja, dokumentacja, triage, analiza obrazu, rekomendacja czy komunikacja z pacjentem.
- Czy wynik systemu może wpłynąć na decyzję kliniczną albo dostęp pacjenta do świadczenia? Jeśli tak, kto zatwierdza wynik przed użyciem.
- Czy produkt jest wyrobem medycznym albo elementem systemu objętego regulacją sektorową? Poproś o dokumentację, nie o zapewnienie w mailu.
- Jakie dane pacjenta trafiają do systemu i czy są używane do trenowania modeli? Tu potrzebna jest jasna odpowiedź o celu, retencji, podwykonawcach i lokalizacji danych.
- Jak placówka może zatrzymać system, zgłosić błąd i odtworzyć decyzję z logów? Brak tej ścieżki jest poważnym sygnałem ryzyka.
Warto zestawić tę rozmowę z poradnikiem o human-in-the-loop w placówce, bo klasyfikacja AI Act bez praktycznego punktu zatwierdzenia zostaje tylko dokumentem. Dobra procedura musi działać w recepcji i gabinecie, nie tylko w folderze compliance.
Przykład w przychodni: triage zostaje u człowieka
Przykład modelowy — scenariusz pokazuje sposób myślenia o pilotażu. Nie opisuje realnego pacjenta i nie gwarantuje wyniku wdrożenia.
Prywatna przychodnia specjalistyczna chce użyć AI do porządkowania porannych zgłoszeń. Część pacjentów zmienia termin, część dosyła dokument, część pyta o przygotowanie do badania, a część opisuje pogorszenie samopoczucia. Najgorszy wariant to jeden model, który wszystko klasyfikuje i automatycznie ustawia kolejność reakcji.
Bezpieczniejszy wariant wygląda inaczej. AI może oznaczyć sprawę jako administracyjną, brak formalny albo wymagana eskalacja. Nie decyduje jednak, czy pacjent może poczekać, czy powinien trafić szybciej do lekarza. Osoba uprawniona zatwierdza pilność, a system zapisuje, kto przejął sprawę, na jakiej podstawie i czy wynik AI został zmieniony.
Po dwóch tygodniach manager nie pyta, czy AI było inteligentne. Pyta, ile spraw administracyjnych uporządkowano, ile wyjątków trafiło do człowieka, ile razy personel zmienił klasyfikację i czy w logach widać decyzję. To są metryki bezpieczeństwa, które pomagają rozmawiać o AI Act bez udawania, że mała placówka stała się działem regulacyjnym.
Pierwszy krok w tym tygodniu
Nie zaczynałbym od pełnej oceny prawnej każdego narzędzia w placówce. Zacząłbym od listy systemów i procesów, które już używają AI albo mają ją dostać w najbliższych miesiącach. Wpisz przy każdym: cel, dane, wynik, człowiek zatwierdzający i dostawca. To zwykle pokazuje więcej niż godzinna rozmowa o samym AI Act.
Potem oznacz trzy kolory. Zielony: czysta administracja bez danych medycznych i bez decyzji klinicznej. Żółty: dane pacjenta, dokumenty, transkrypcje, formularze i komunikacja wymagająca IOD. Czerwony: wynik wpływa na triage, interpretację, zalecenie, priorytet albo finalną dokumentację. Czerwone procesy nie startują bez lekarza, IOD i dokumentacji dostawcy.
Moja rekomendacja dla managera jest prosta: najpierw uporządkuj zakres, potem pytaj o klasyfikację. AI Act nie powinien paraliżować placówki, ale powinien zatrzymać te wdrożenia, w których automat dostaje dane pacjenta i wpływ na decyzję, zanim człowiek zrozumie własną rolę. W medycynie technologia może przygotować kontekst, ale odpowiedzialność zostaje po stronie ludzi.
Źródła
- Komisja Europejska — Guidelines for providers and deployers of AI high-risk systems — oficjalne źródło wyjaśniające klasyfikację systemów wysokiego ryzyka i przykłady dla dostawców oraz wdrażających; dostęp: 2026-07-05.
- Komisja Europejska — Draft Commission guidelines on the classification of high-risk AI systems — publikacja z 19.05.2026; wnosi aktualny kontekst art. 6 AI Act i pracy nad jednolitą klasyfikacją high-risk.
- UODO — Czy AI to zagrożenie dla danych? – Konrad Komornicki podczas AI & MEDTECH CEE 2026 — komunikat z 10.06.2026; najważniejsze polskie źródło o utracie kontroli nad celem, zakresem i odpowiedzialnością za dane przy AI w ochronie zdrowia.
- UODO — Prezes UODO o AI i ochronie danych podczas konferencji CMS & Microsoft 2.0 — komunikat z 18.06.2026; wybrany jako aktualne źródło o relacji AI Act, ochrony danych, cyberbezpieczeństwa i przyszłego modelu nadzoru w Polsce.
- Ministerstwo Cyfryzacji — UE upraszcza przepisy dotyczące sztucznej inteligencji — komunikat z 07.05.2026; porządkuje polski kontekst przesunięcia obowiązków dla systemów wysokiego ryzyka i utrzymania gwarancji bezpieczeństwa.
- EUR-Lex — Rozporządzenie (UE) 2024/1689, Artificial Intelligence Act — źródło pierwotne dla klasyfikacji systemów wysokiego ryzyka, w tym wyrobów medycznych i emergency healthcare patient triage systems; dostęp: 2026-07-05.
- Zdjęcie: Tima Miroshnichenko na Pexels — atrybucja okładki; spokojna scena rozmowy zespołu medycznego bez sensacyjności i bez widocznych danych pacjenta, dostęp: 2026-07-05.
